アドビの機密漏洩から考える、2ファクタ認証の有効性

より安全なセキュリティ対策には、複雑なパスワードよりも携帯電話を使う2ファクタ認証のほうがうまくいくようだ。

最近発生したアドビの機密漏洩によって明らかになったのは、人々は「推測することが困難な」パスワードを選ぶことが非常に苦手であるということだ。しかし安全対策の専門家グレアム・クルレイ(@gcluley)の回答をみると、セキュリティ担当者達も「理解することが簡単な」機密保護を選ぶのが同様に苦手であるらしい。

アドビのトップ10リストを占めるパスワードは明らかに最悪である（トップ50の11位以降も決して良いとは言えないが）。

トップ10パスワード：

1. 123456
2. 123456789
3. password
4. adobe123
5. 12345678
6. qwerty
7. 1234567
8. 111111
9. photoshop
10. 123123

ユーザーが自分用に次のようなヒントをどこかにメモしていれば、推測はさらに容易になるだろう。「1から6」「数字」「123」「654321」「番号」「1-6」などなど。

記憶の問題

「思い出せること」はもちろん重要だ。ほぼ200万人のアドビ・ユーザが「123456」を選んでいるのは、他人に推測されにくいだろうと思ったからではない。自分が思い出すのが簡単だからそれを選んだ、というのが正しいだろう。我々は今、ほぼすべてのウェブサイトでパスワードを求められるが、それぞれのサイトに異なる「推測することが困難な」パスワードを設定するというのはまるで悪夢のようである。

そこで、１つの方法としてLastPassや1Passwordのようなパスワード・マネージャーを使用することが考えられるが、ここにセキュリティ担当者がきちんと理解しているとは思えない別の問題がある。普通の人々はまず、これが何なのかということすら分からないのだ。

クルレイの他の提案も同様に、普通の人々にはハードルが高い。

多数のウェブサイト上で同じパスワードを使用してはいけない。また、明らかに「推測することが容易な」パスワードを選ぶことをやめる必要がある…

繰り返すが、人々が同じパスワードを使いまわす理由は、複数の絶望的に複雑なパスワードを覚えておくことが不可能だからだ。私の娘のGmailアカウントが不正に流出した際、私はアカウントを安全に保つことの重要性を感じた。しかし私は娘や家族、多くの友人との日々の会話のなかで、より厳格なセキュリティ対策を維持することが現実的にはかなり難しいことを学んだ。…